외부업체에 맡긴 개인정보, 유출 시 기업의 책임 범위
Article posted in 2026-10-16 17:54:19 | VEAT
기업이 시스템 개발·운영 등 개인정보 처리업무를 외부업체에 맡기는 과정에서 고객정보가 유출되면, 직접 유출행위를 한 직원이나 소속 업체뿐 아니라 위탁기업에도 손해배상책임이 인정될 수 있습니다.
다만 책임의 성립과 범위는 각 당사자의 개인정보 보호의무 이행 여부, 유출 경위 및 실제 손해 발생 여부에 따라 달라질 수 있습니다.
개인정보 처리위탁 시 위탁기업과 수탁기업의 책임은 무엇일까?
개인정보 보호법 제26조는 개인정보 처리업무를 외부에 위탁하는 경우 목적 외 개인정보 처리 금지와 기술적·관리적 보호조치 등에 관한 사항을 문서로 정하도록 규정하고 있습니다. 위탁기업은 수탁업체의 개인정보 처리현황을 점검하고 필요한 교육을 실시하는 등 관리·감독 의무도 부담합니다.
또한 같은 조 제7항은 수탁자가 위탁업무와 관련하여 개인정보를 처리하는 과정에서 법을 위반하여 발생한 손해배상책임에 대해 수탁자를 개인정보처리자의 소속 직원으로 보도록 규정하고 있습니다. 따라서 개인정보 처리업무를 위탁했다는 이유만으로 위탁기업의 법적 책임이 배제되는 것은 아닙니다.
외부업체 직원의 개인정보 유출, 법원은 어떻게 판단했을까?
대법원 2018. 10. 25. 선고 2018다219352 판결은 외부 개발업체 직원이 위탁기업의 고객정보를 유출한 사건에서 위탁기업과 수탁기업의 손해배상책임을 인정한 사례입니다.
법원은 위탁기업이 보안프로그램 관리, 개인정보 암호화, 접근권한 제한 등 필요한 보호조치를 충분히 이행하지 않았다고 판단하였습니다. 수탁기업에 대해서도 소속 직원의 유출행위가 업무 수행과 관련하여 발생했고, 선임·감독에 상당한 주의를 기울였다는 점 등이 증명되지 않았다는 이유로 민법에 따른 사용자책임을 인정하였습니다.
이 판결은 개인정보 처리업무를 외부에 맡기더라도 위탁기업의 보호의무가 유지되며, 수탁기업 역시 직원의 업무상 행위에 관하여 책임을 부담할 수 있음을 보여줍니다.
개인정보가 유출되면 반드시 손해배상책임이 발생할까?
개인정보 보호의무 위반 여부와 실제 배상할 손해가 발생했는지는 구분하여 판단해야 합니다.
개인정보 보호법 제39조의2는 개인정보 유출 등에 관한 법정손해배상제도를 규정하고 있습니다. 다만 대법원 2025. 12. 4. 선고 2023다311184 판결은 개인정보처리자가 위자료로 배상할 만한 정신적 손해가 발생하지 않았다는 점을 주장·증명하면 법정손해배상책임을 면할 수 있다고 판단하였습니다.
2018년 판결에서 정신적 손해를 인정한 것과 달리, 2025년 판결에서는 유출된 정보의 성격과 이용 가능성, 추가 피해 여부 및 사고 이후 대응조치 등을 고려하여 정신적 손해를 인정하지 않았습니다. 따라서 개인정보 유출사고에서는 보호의무 위반 여부뿐 아니라 유출 정보의 성격, 피해 발생 및 확산 가능성 등을 종합적으로 검토해야 합니다.
법무법인 비트는 기업의 개인정보 처리와 보호에 관한 법률자문 경험을 바탕으로, 개인정보 처리 과정에서 발생할 수 있는 법적 위험과 책임 문제를 검토합니다. 특히 외부업체와의 업무 관계에서 개인정보가 수집·전달·보관되는 구조와 실제 보호조치의 이행 여부를 살펴보고, 계약상 의무와 관련 법령이 요구하는 책임 기준을 분석합니다.
아울러 개인정보 유출사고가 발생한 경우에는 사고 경위와 피해 상황, 당사자별 의무 이행 여부 등을 종합적으로 검토하여 기업의 사업환경과 구체적인 사정에 맞는 법적 대응 방향을 제시합니다.
자주 묻는 질문
Q. 개인정보 유출 후 2차 피해가 없으면 법정손해배상책임도 없을까요?
A. 2차 피해가 확인되지 않았다는 이유만으로 법정손해배상책임이 면제되는 것은 아닙니다. 책임 여부는 유출된 개인정보의 성격과 이용 가능성, 사고 이후의 대응조치 등 구체적인 사정에 따라 달라질 수 있으므로 관련 판례와 개별 사정을 바탕으로 법률 전문가의 검토를 받는 것이 바람직합니다.